Oracle y Google han detectado una campaña de extorsión a gran escala dirigida a clientes corporativos que usan Oracle E-Business Suite. Los atacantes, que aseguran estar vinculados al grupo de ransomware cl0p, amenazan con publicar datos supuestamente robados si no se pagan rescates millonarios.
La alarma comenzó cuando Google advirtió de una oleada “de alto volumen” de correos electrónicos dirigidos a ejecutivos de distintas compañías internacionales. Los mensajes, enviados en serie, aseguran que los atacantes poseen información sensible extraída de las aplicaciones de Oracle y que la harán pública a menos que las víctimas abonen un pago en criptomonedas.
Pocas horas después, Oracle confirmó los hechos, reconociendo que clientes de su E-Business Suite —una de las plataformas más utilizadas para la gestión empresarial— habían recibido correos de extorsión. La compañía explicó que los delincuentes podrían estar intentando explotar vulnerabilidades ya conocidas y corregidas en actualizaciones previas, e instó a las organizaciones a aplicar inmediatamente el Critical Patch Update de julio de 2025.
“Estamos investigando los incidentes y no tenemos evidencias de que se haya producido una brecha de datos en nuestros sistemas”, comunicó Oracle. “Aun así, recomendamos a todos los clientes verificar que sus entornos estén totalmente actualizados y protegidos”.
Una campaña de extorsión bien orquestada
Según Google, la campaña presenta las características de una operación de extorsión digital masiva. Los correos se dirigen a altos cargos de grandes empresas, con mensajes directos que aseguran disponer de datos confidenciales obtenidos a través de vulnerabilidades en productos de Oracle. El tono de los mensajes es claro: pagar o exponerse a una filtración pública.
El gigante de las búsquedas matizó que, aunque los atacantes afirman pertenecer al grupo de ransomware cl0p, esa vinculación no ha podido confirmarse. No obstante, los analistas señalan que el lenguaje, la infraestructura y el tipo de presión psicológica empleados coinciden con campañas previas del mismo colectivo.
El grupo de ransomware cl0p no es un desconocido en el panorama de la ciberextorsión. Activo desde al menos 2019, opera bajo un modelo de ransomware como servicio (RaaS): alquila sus herramientas de cifrado y sus portales de filtración de datos a otros actores criminales, que comparten beneficios tras cada ataque exitoso. Esta estructura descentralizada complica enormemente la atribución y dificulta la labor de las fuerzas de seguridad.
Oracle pide aplicar parches de seguridad de forma urgente
Aunque Oracle no ha revelado cuántas organizaciones se han visto afectadas ni en qué países, la compañía ha confirmado que el ataque se aprovecha de fallos conocidos y corregidos en actualizaciones previas. De ahí su insistencia en aplicar los parches de seguridad más recientes.
Los ingenieros de la empresa han recomendado revisar especialmente los sistemas Oracle E-Business Suite, Fusion Middleware y cualquier módulo que dependa de servicios web o interfaces expuestas. Los parches de julio de 2025 solucionaban vulnerabilidades críticas en estos productos, y los expertos creen que las empresas que no los aplicaron podrían estar siendo el objetivo principal de los delincuentes.
Google, por su parte, ha solicitado a sus clientes corporativos que extremen la vigilancia ante correos sospechosos y reporten cualquier intento de extorsión a sus equipos internos de seguridad. Hasta ahora, ninguna de las dos compañías ha confirmado filtraciones reales de datos, aunque el impacto reputacional ya está generando inquietud entre los clientes empresariales.
El incidente forma parte de una tendencia cada vez más extendida: las campañas de extorsión sin ransomware activo. En lugar de cifrar los sistemas, los atacantes amenazan con publicar supuestos datos confidenciales y reclaman dinero para no hacerlo. En muchos casos, ni siquiera han accedido realmente a esa información, pero el miedo a la exposición pública basta para que algunas víctimas paguen.
